Por que o NPS repentinamente parou de autenticar usuários?

Question

Usamos um computador executando o Windows Server 2008 (32 bits) com as funções RRAS e NPS para autenticar usuários para VPN e acesso sem fio através do RADIUS.

Essa configuração está funcionando há mais de um ano, mas a partir desta manhã o servidor começou a negar todas as solicitações. Tanto quanto eu sei, a única mudança foi instalar o Windows Updates na noite passada.

• Não é um problema de conectividade ou firewall. O servidor respondendo a todas as solicitações RADIUS com o Access-Reject.
• Existe apenas uma política de solicitação de conexão e processa todas as solicitações nesse servidor 24 horas por dia, 7 dias por semana.
• Para fins de teste, criei uma política de rede que deve aprovar todas as solicitações 24 horas por dia, sete dias por semana. O arquivo de log ( C:\Windows\System32\LogFiles\IN1110.log ) indica que esta política está sendo selecionada, mas o servidor ainda responde com o Access-Reject.
• Verifiquei que todos os servidores que enviam solicitações RADIUS estão listados nos clientes RADIUS e não há entradas no log de eventos sobre clientes RADIUS inválidos.

No entanto, estou vendo um estranho evento do sistema sendo registrado sempre que o servidor responde a uma solicitação RADIUS. Nós não usamos MGM ou multicast, então eu não sei como rastrear isso.

Warning
RasServer, 50015
Specified interface was not present in MGM.

Eu já tentei reiniciar o servidor e reinstalar o RRAS / NPS. (Nota: ao remover o NPS, toda a configuração é preservada e ainda está presente após a reinstalação.) Falta de configurar um servidor completamente novo, estou no meu limite.

Alguém mais teve problemas como este com o RRAS / NPS?

Atualização de 2011-10-17: adicionado o texto completo da ID do Evento 6274

Network Policy Server discarded the request for a user.

Contact the Network Policy Server administrator for more information.

User:
    Security ID:                        CFL\nic
    Account Name:                       nic
    Account Domain:                     CFL
    Fully Qualified Account Name:       cfl.local/People/Prince George/Nic Waller

Client Machine:
    Security ID:                        NULL SID
    Account Name:                       -
    Fully Qualified Account Name:       -
    OS-Version:                         -
    Called Station Identifier:          00-17-9A-09-A8-1D:CFL
    Calling Station Identifier:         CC-08-E0-EE-BA-82

NAS:
    NAS IPv4 Address:                   192.168.123.12
    NAS IPv6 Address:                   -
    NAS Identifier:                     D-Link Access Point
    NAS Port-Type:                      Wireless - IEEE 802.11 
    NAS Port:                           1

RADIUS Client:
    Client Friendly Name:               DWL-7100AP Wireless Access Point
    Client IP Address:                  192.168.123.12

Authentication Details:
    Proxy Policy Name:                  Always authenticate requests on this server
    Network Policy Name:                Permit wireless RADIUS via EAP DWL-7100AP
    Authentication Provider:            Windows 
    Authentication Server:              PG-DC2.cfl.local
    Authentication Type:                EAP
    EAP Type:                           -
    Account Session Identifier:         -
    Reason Code:                        1
    Reason:                             An internal error occurred. Check the system event log for additional information. 

Atualização: Na verdade, algumas solicitações estão sendo aprovadas. Parece que somente solicitações 802.1x com o tipo de autenticação EAP estão falhando. Ao examinar a situação do certificado, parece que o certificado do servidor expirou e estava impedindo a autenticação PEAP.

    

Answer 1

O certificado do controlador de domínio expirou.

Isso impediu as conexões que exigiam o método de autenticação Protected EAP . A reemissão do certificado do controlador de domínio permitiu imediatamente que os pedidos RADIUS fossem autenticados normalmente.

    

Answer 2

Esse erro também pode ocorrer se o Certificado de Domínio for renovado automaticamente. O NPS não lida bem com isso.

De acordo com o link , você precisa alternar para um certificado diferente, aplique-o e, em seguida, volte para o certificado de renovação automática.